OpenAI usa GPT-5.6 Sol per scoprire vulnerabilità critiche in PHP, colpisce il 70 % dei siti web

OpenAI ha annunciato, nella sua nota stampa del 21 ottobre, che il modello di intelligenza artificiale GPT-5.6 Sol, operante nell’ambito dell’iniziativa “Patch the Planet”, ha scoperto due vulnerabilità critiche in PHP, il linguaggio di programmazione che gestisce circa il 70 % dei siti internet. La scoperta, descritta come una delle più importanti del 2026 nel campo della sicurezza, ha spinto una coalizione di ricercatori, manutentori di PHP e agenzie governative a rilasciare rapidamente le patch necessarie.

• Due CVE critici (CVE-2026-109618 e CVE-2026-109619): entrambi con punteggio di gravità 9,2/10.
• Patch rilasciate per PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12, mentre le versioni 8.1 e precedenti restano non supportate.
• Tempo di risposta: due mesi di lavoro coordinato, con rilascio anticipato del 21 ottobre rispetto alla data prevista (22 ottobre).
• Impatto: potenziale esecuzione di codice remoto su server web, con esposizione di password, token e chiavi API.

Le vulnerabilità alla base del rischio

Le due falle, individuate rispettivamente il 11 agosto 2026, riguardano la gestione della memoria da parte del motore di PHP. La prima si verifica quando il motore esaurisce la memoria allocata durante l’elaborazione di una richiesta, lasciando dati incompleti che possono essere interpretati come validi in successive operazioni. La seconda, più subdola, si attiva quando un errore fatale fa puntare il motore a una zona di memoria già liberata, consentendo a un attaccante di leggere o sovrascrivere dati sensibili. Entrambe le vulnerabilità possono essere sfruttate da remoto, senza necessità di credenziali, e permettono l’esecuzione di codice arbitrario sul server compromesso.

Il ruolo di GPT-5.6 Sol nella scoperta

Il team di OpenAI, in collaborazione con la società di sicurezza Calif e il partner Wiz, ha impiegato GPT-5.6 Sol per analizzare il codice sorgente di PHP a partire dal 30 luglio 2026. L’AI ha individuato pattern di gestione della memoria anomali e suggerito possibili vettori di attacco, accelerando di settimane il processo di scoperta rispetto a metodi tradizionali. Questo risultato è stato presentato come caso di studio del concetto di “Defender’s Window”, ovvero la finestra temporale in cui le organizzazioni possono sfruttare modelli AI avanzati per rinforzare le proprie difese prima che gli stessi strumenti vengano impiegati da attori maligni.

Il punto di vista di AllFounds: cosa cambia davvero

Da una prospettiva tecnica, la scoperta dimostra due trend fondamentali. Primo, l’AI sta diventando un vero e proprio co-pilota nella ricerca di vulnerabilità, capace di scandagliare milioni di righe di codice in tempi record. Secondo, la dipendenza globale da PHP rende indispensabile un approccio coordinato tra vendor, community open-source e autorità di sicurezza. Per gli amministratori di sistemi italiani, il consiglio è chiaro: aggiornare immediatamente a PHP 8.5.12 o, in alternativa, a 8.4.27/8.3.36, e verificare che tutti i plugin e le estensioni siano compatibili con le nuove versioni. Ignorare le patch equivale a lasciare una porta aperta a chiunque possieda un semplice script di exploit, con il rischio di compromissione di dati sensibili e di danni reputazionali.

Domande frequenti

Quali versioni di PHP sono ancora vulnerabili?

Tutte le versioni comprese tra PHP 8.2 e PHP 8.5 sono affette dalle due vulnerabilità. Le versioni 8.1 e precedenti non ricevono più aggiornamenti di sicurezza e rimangono a rischio.

È necessario aggiornare tutti i siti web italiani?

Sì. Poiché PHP alimenta la maggior parte dei CMS e delle piattaforme web, ogni sito che utilizza una delle versioni vulnerabili deve essere aggiornato al più presto per evitare exploit remoti.